Ciberseguridad para industria y manufactura — NIS2, OT/ICS y cadena de suministro Tier-N

Depende de subsector y escala. NIS2 incluye manufactura como sector esencial cuando supera los umbrales fijados por la transposición nacional (habitualmente número de empleados y facturación), y la química, alimentación, distribución y otros como sectores importantes. Además, los proveedores TIC críticos de entidades esenciales pueden quedar afectados por extensión. Un diagnóstico inicial cierra el alcance aplicable sin sobre-inflar requisitos.

Son marcos distintos pero compatibles. TISAX es sectorial (automoción) y se exige por contrato con OEMs; NIS2 es regulación europea de aplicación general en sectores esenciales. Una implantación bien diseñada permite reutilizar gran parte del cuerpo documental y de las evidencias entre ambos. En proyectos de proveedores Tier-N atendiendo OEMs, lo habitual es atacarlos en paralelo.

Sí, pero con extremo cuidado y bajo protocolo. Las pruebas sobre OT productivo se ejecutan siempre con ventanas acordadas, sobre entorno espejo cuando es posible, con plan de rollback definido y coordinación con ingeniería de planta. Cuando la criticidad no permite pruebas activas, recomendamos revisión pasiva, análisis de configuración y validación sobre entorno de pruebas dedicado.

Es el escenario habitual en industria. La estrategia se apoya en cuatro pilares: segmentación robusta entre OT y resto de la red, monitorización dedicada con detección de anomalías sobre comunicaciones industriales, control estricto del acceso (mantenimiento remoto incluido) y aceptación formal de riesgo documentada con la dirección industrial. Defendible ante auditor TISAX, ISO o autoridad NIS2 si está bien construida.

Sí. NIS2 obliga a gobernar la cadena de suministro TIC y los OEMs lo exigen contractualmente. Cubrimos selección y due diligence de proveedores, control de acceso, segregación contractual y técnica entre proveedores compartidos, monitorización de anomalías de proveedor y procesos de respuesta cuando un proveedor sufre un incidente. La visibilidad real del segundo nivel es trabajo continuo, no proyecto puntual.

Trabajamos como proveedor de seguridad para fabricantes Tier-N que sirven a OEMs y grandes grupos industriales internacionales. Adaptamos el servicio a marcos del cliente final cuando lo exige (TISAX, frameworks propios del OEM, requisitos contractuales de seguridad) manteniendo coherencia con NIS2 e ISO 27001 como base.

Para un Tier-N de tamaño medio, una preparación TISAX nivel AL2 típicamente tarda entre 4 y 8 meses; nivel AL3 puede llegar a 9-12 meses según madurez técnica de partida y alcance. Si la entidad ya tiene ISO 27001 implantada, los plazos se acortan significativamente. La auditoría externa la realiza un proveedor TISAX-acreditado; nosotros preparamos y acompañamos.

Sí. El retainer 24/7 incluye activación en minutos, bolsa de horas preventivas y onboarding previo de readiness sobre la arquitectura industrial y los activos productivos críticos. Pensado para escenarios donde el incidente impacta planta y la ventana de respuesta se mide en cientos de miles de euros por hora de paro.

El calendario productivo manda. Coordinamos cambios técnicos con paradas programadas (mantenimientos, fines de semana, paradas estivales), validamos sobre entorno espejo cuando lo hay, planteamos rollbacks ensayados y coordinamos con ingeniería de planta. La regla básica es: la seguridad no debería parar la planta — debería sostenerla.

ISO 22301 es continuidad de negocio. Para industria es muy relevante porque traduce la resiliencia operativa a planes concretos: BIA con coste hora-fábrica, RTO/RPO por línea, escenarios degradados de operación, simulacros de parada por incidente cibernético. Hard2bit está certificada en ISO 22301 — usamos el mismo marco que recomendamos.

Sí. Adaptamos el servicio a los marcos de la matriz internacional (controles globales, frameworks propios, proveedores estratégicos del grupo, política multi-planta) manteniendo la ejecución local en España y la coordinación con ingeniería y operación de planta en español o inglés según corresponda.

Operamos con compromiso de confidencialidad estricto. No publicamos referencias nominativas de clientes industriales en landing ni en materiales públicos, salvo autorización expresa y para un propósito concreto. Detalles concretos en conversación directa.